- Web Environment Integrity (WEI) mà Google đề xuất cho Chrome bị chỉ trích vì cho phép website xác minh môi trường chạy của phía client, từ đó có thể biến web thành một dạng DRM trên thực tế
- WEI hoạt động theo cấu trúc chứng minh rằng người dùng đang chạy web client trong một môi trường như “thiết bị Android an toàn”, rồi chuyển thông tin đó bằng token được ký bằng mật mã
- Trái với danh nghĩa chống gian lận, Mozilla cho rằng các cách sử dụng web hiện có như công nghệ hỗ trợ, kiểm thử tự động, lưu trữ, hay spider của công cụ tìm kiếm có thể bị chặn
- Brave cho biết sẽ không đưa WEI vào trình duyệt Brave vì cho rằng nó chuyển quyền lực sang các website và nền tảng lớn thay vì người dùng
- Nếu đưa chứng thực từ xa vào tiêu chuẩn web, nó không chỉ dùng cho mục đích tốt mà còn có thể bị dùng để chặn trình duyệt, hạn chế chặn quảng cáo và tăng cường kiểm soát nền tảng
Tranh cãi DRM cho web do đề xuất WEI của Chrome khơi lên
- Google đã đề xuất đưa Web Environment Integrity vào Chrome
- Hệ thống này cho phép website yêu cầu token chứng minh những sự thật cốt lõi của môi trường nơi mã phía client đang chạy
- Ví dụ, nó có thể cho thấy người dùng đang chạy web client trên một “thiết bị Android an toàn”
- Token được thiết kế để chống giả mạo bằng chữ ký mật mã
- Website sẽ tự quyết định có tin vào đánh giá mà attester trả về hay không
- Theo mô tả của Google, trên thực tế attester nhiều khả năng sẽ đến từ hệ điều hành hoặc nền tảng
- Tài liệu đề xuất lấy cảm hứng từ các tín hiệu chứng thực native hiện có như App Attest của Apple và Play Integrity API của Android
- Trong chống gian lận, phán định mang tính quyết định và độ bao phủ cao có thể hữu ích, nhưng vẫn tồn tại rủi ro website loại trừ một số attester nhất định hoặc các trình duyệt không thể cung cấp chứng thực
Chứng thực từ xa thay đổi quan hệ quyền lực của máy tính như thế nào
- Theo giải thích của Cory Doctorow, khoảng 20 năm trước Microsoft đã trình bày với Electronic Frontier Foundation ý tưởng trusted computing mang tên Next Generation Secure Computing Base, hay Palladium
- Cốt lõi của nó là chứng thực từ xa (remote attestation): đặt một thiết bị riêng trong máy tính của người dùng để quan sát bootloader, hệ điều hành, ứng dụng, extension, trạng thái kernel... rồi gửi một manifest đã ký tới bên xác minh bên ngoài
- Chứng thực từ xa có thể là một tính năng mạnh mẽ giúp những người không tin tưởng nhau vẫn có thể xác nhận cấu hình máy tính của nhau
- Nó có thể được dùng theo cách hữu ích và có đồng thuận, chẳng hạn công ty kiểm tra cấu hình thiết bị của nhân viên trong môi trường làm việc từ xa
- Đồng thời, nó cũng có thể bị dùng để loại trừ, ví dụ không cho mở tài liệu Word bằng OpenOffice, hoặc phân biệt SMB với Samba để chặn truy cập mạng
- Vấn đề cốt lõi là liệu máy tính có nên buộc phải nói “sự thật” với bên ngoài ngay cả khi người dùng không muốn hay không, và liệu người khác có nên có thể kích hoạt từ xa những chức năng mà người dùng không kiểm soát hay không
Vì sao Mozilla và Brave phản đối
- Mozilla đã phản đối trong thảo luận trên GitHub, cho rằng WEI đi ngược lại web mở
- Theo Mozilla, những cơ chế hạn chế lựa chọn sẽ làm tổn hại tính mở của hệ sinh thái web và cũng không tốt cho người dùng
- Ca sử dụng được đề xuất phụ thuộc vào khả năng “phát hiện lưu lượng không phải con người”
- Cách tiếp cận này có thể ngăn cản các cách dùng web hiện hữu như công nghệ hỗ trợ, kiểm thử tự động, lưu trữ, hay spider của công cụ tìm kiếm vốn nhận nội dung dành cho con người để chuyển đổi, kiểm thử, lập chỉ mục hoặc tóm tắt
- Mozilla cho rằng các biện pháp an toàn như “holdback”, tức ngẫu nhiên không tạo chứng thực, có khả năng chỉ hiệu quả hạn chế và không đủ để giải quyết các lo ngại
- Brave cũng phản đối Web Environment Integrity và tuyên bố sẽ không đưa WEI vào trình duyệt Brave
- Brave cho rằng WEI chuyển quyền lực sang các website lớn, đặc biệt là những website do Google vận hành, thay vì trao cho người dùng
- Dù dùng Chromium, Brave vẫn không có kế hoạch đưa WEI vào
- Brave cũng đang xem xét hạn chế những tính năng có phần tương tự WEI nhưng bị giới hạn hơn, như một phần của WebAuthn hay Privacy Keys, trong phạm vi không làm hỏng các cách sử dụng thiện chí
Lo ngại về chặn quảng cáo và kiểm soát nền tảng
- Alex Ivanovs chỉ ra rằng một trong các tác dụng phụ của WEI là Google có thể trên thực tế ngăn chặn việc chặn quảng cáo
- Nếu bên kiểm soát attester xác minh môi trường phía client, sẽ nảy sinh lo ngại rằng Google hoặc các tập đoàn công nghệ lớn khác có thể thao túng điểm tin cậy và quyết định sẽ tin website hay môi trường trình duyệt nào
- Brave liên hệ WEI với xu hướng các đề xuất web gần đây của Google
- WebBundles bị cho là khiến người dùng khó chặn hoặc lọc nội dung trang mà họ không muốn
- First Party Sets bị cho là khiến người dùng khó đánh giá website nào có thể theo dõi mình
- Việc làm suy yếu extension trình duyệt thông qua Manifest V3 bị cho là làm giảm quyền kiểm soát của các extension chặn quảng cáo và tracker như uBlock Origin
- Brave cho biết sẽ vô hiệu hóa hoặc sửa đổi các tính năng như vậy trong trình duyệt Brave
Trong web mở, quyền lực nên nằm ở đâu
- Các vấn đề gian lận và lạm dụng mà WEI nhắm tới là có thật, nhưng cách tiếp cận được đề xuất sẽ thay đổi một cách căn bản cấu trúc của Internet mở
- Phê phán cốt lõi là thay vì đẩy quyền lực ra rìa mạng lưới, nó lại tập trung hóa quyền lực về phía website và nền tảng
- Ngay cả khi loại bỏ những cách giải thích mang màu sắc thuyết âm mưu như giám sát của chính phủ, bản thân đề xuất này vẫn là một ý tưởng tồi, nguy hiểm và đi ngược lại các nguyên tắc của web mở
- Dù động cơ của Google có là thiện chí, cũng không có gì đảm bảo công cụ như vậy sẽ mãi chỉ được dùng với thiện chí
- Nếu muốn ủng hộ web mở thì cần phản đối WEI, và Google cũng nên bác bỏ đề xuất này
1 bình luận
Các ý kiến trên Hacker News
Đã đến lúc vận động mạnh mẽ để Google trở thành đối tượng bị chia tách vì chống độc quyền
Kế hoạch DRM lần này là hành vi lạm dụng vị thế độc quyền, tạo thêm lý do để thúc đẩy chính trị cho việc cưỡng chế chia tách. Alphabet là công ty lớn lên nhờ các thương vụ thâu tóm nên việc chia nhỏ cũng tương đối rõ ràng: Google chỉ giữ tìm kiếm và quảng cáo tìm kiếm, DoubleClick phụ trách quảng cáo trên trang bên thứ ba, Analytics là dịch vụ website, Cloud là dịch vụ trung tâm dữ liệu, Android là thiết bị, Chrome là trình duyệt, YouTube là streaming, Waymo là xe tự lái, còn Alphabet giữ phần còn lại
Nếu Chrome bị tách khỏi Google và DoubleClick và phải cạnh tranh thị phần, động cơ ngăn chặn việc chặn quảng cáo DoubleClick hay Google sẽ giảm đi. Vụ kiện của bang Texas và tổng chưởng lý nhiều bang cũng đã diễn ra, và động thái Google cố củng cố độc quyền về mặt kỹ thuật sẽ có lợi cho các vụ kiện này. Nếu gây ồn ào đủ lớn về mặt chính trị, Google rất có khả năng sẽ rút lại đề xuất này theo lời khuyên của luật sư chống độc quyền
https://www.bloomberg.com/news/articles/2023-06-05/google-an...
https://www.lanierlawfirm.com/google-antitrust-lawsuits-expl...
Google vừa là người bán duy nhất một tài sản số là quảng cáo, vừa là nhà vận hành thị trường duy nhất của tài sản đó; họ có một hệ thống giao dịch thuật toán khép kín không có kiểm toán công khai, cũng không có sổ cái công khai cho thấy ai đã đặt giá bao nhiêu. Đồng thời, họ cũng là khách hàng lớn quảng cáo cho chính sản phẩm của mình
Nhà quảng cáo phải cài mã theo dõi lên website, nên Google có thể thấy toàn bộ giao dịch, doanh thu và khách hàng. Khi kết hợp với thuật toán khép kín và cả thị trường quảng cáo, khả năng thao túng là cực lớn. Việc chia tách quan trọng nhất là tách mảng quảng cáo khỏi phần còn lại, bao gồm cả tìm kiếm; dù không dễ, vẫn cần thay đổi. Trên thực tế, có vẻ khả thi hơn là áp đặt quy định mạnh lên thị trường quảng cáo trực tuyến, dựng tường lửa tách biệt giữa các đơn vị kinh doanh và kiểm toán nền tảng
Sứ mệnh “sắp xếp thông tin của thế giới” của một công ty đã ăn sâu vào cả các nền tảng như web và email dường như giờ đã biến chất thành “đặt càng nhiều trung gian trả phí càng tốt trước thông tin của thế giới”, hoặc chặn hẳn một số thông tin
Không nên để một công ty trên thực tế quản lý thông tin của “thế giới”. Tôi không biết chính xác nên chia Alphabet như thế nào, nhưng tôi đồng ý rằng cần phải chia tách. Nếu thông tin phải được tự do, ta cũng cần nhìn lại cách bảo vệ sự tự do đó trong một thế giới nơi Google không còn giả vờ là người bảo hộ của nó
https://techcrunch.com/2023/04/25/google-cloud-turns-profit-...
Việc lỗ tiền tự thân không phải vấn đề. Phải đầu tư trước khi có lợi nhuận, và các dịch vụ như Google Cloud khi đã đứng vững có thể trở thành cỗ máy in tiền. Tuy nhiên, các nhà cung cấp cloud đang đổ tiền cho bên thứ ba và đối tác để họ bán và triển khai cho doanh nghiệp. Một công ty sàn giao dịch hoa ở Hà Lan đang chuyển hàng trăm dịch vụ sang AWS, và một quản lý IT mới có vẻ có liên hệ với Amazon trong việc bán AWS. Một khi đã vào rồi, để thoát ra lại tốn hàng triệu đô la và nhiều năm, nên những cuộc dịch chuyển ngang từ AWS sang GCP có lẽ sẽ không thường xảy ra
Chrome tồn tại chủ yếu để mảng quảng cáo lấy thêm dữ liệu và gây ảnh hưởng lên hướng đi của web. Nếu tách nó ra, ngoài một chút tiền kiếm được từ ChromeOS, Chrome sẽ không có nguồn thu nên khó duy trì
Tôi hiểu đây là một công cụ chính trị để gây áp lực buộc Google từ bỏ đề xuất này. Nhưng việc chia tách Google/Alphabet là phi thực tế, và tôi không muốn điều đó trừ khi Microsoft cũng bị chia tách đồng thời. Nếu không, Microsoft có thể lại thống trị web, và tôi không muốn trải qua thời kỳ đó thêm lần nữa
Điều này về cơ bản phá vỡ lập luận của Google rằng OEM có lựa chọn và đây không phải độc quyền của Google. Vấn đề là Google rất giỏi ở dưới tầm radar. Chỉ một thiểu số không dùng sản phẩm của Apple, Google, Microsoft mới nhận ra, còn chính trị gia, công chúng và những người có ảnh hưởng thì hầu như không biết
Lần này cũng có khả năng chẳng ai quan tâm. Nó quá phức tạp để giải thích, nên những người đáng lẽ phải quan tâm có lẽ lại sẽ làm ngơ. Cốt lõi là nhóm thiểu số lo ngại chưa đủ ồn ào. Cần tiếp tục gây áp lực lên các ngân hàng và những bên khác đang chặn Android de-Googled, đồng thời cũng cần một danh sách công khai các dịch vụ “tốt” còn lại. Hiện tại, có lẽ chỉ còn cách thực sự dùng trình duyệt tự do và hệ điều hành tự do, rồi nêu vấn đề càng lớn càng tốt, dù chỉ là ở những nơi như GitHub. Những tiếng nói ồn ào nhất về tự do web chỉ là web3 và crypto, nhưng với tôi họ giống những người đang thổi bùng bầu không khí để kiếm tiền đầu cơ
Chính vì tất cả chúng ta đã đối xử với các dịch vụ của Google như những công cụ miễn phí và hữu ích nên mới để mọi chuyện đi xa đến mức này
Khi nói kiểu “Chrome thế này thế nọ”, ta dễ quên rằng thực chất đó là công cụ chiến lược của công ty quảng cáo lớn nhất thế giới. Chrome, GMail, v.v. đều khớp với một framework công nghệ quảng cáo toàn cầu chuyên đẩy quảng cáo đáng ngờ và hút dữ liệu định danh cá nhân
Google len lỏi vào đời sống bằng độc quyền và thiểu quyền. Cần lan truyền cách nhìn rằng Google là một doanh nghiệp đáng ngờ. Họ không phải một công ty đáng tin cậy mà là một gã khổng lồ quảng cáo, cũng chẳng có tính liêm chính. Nếu ngân hàng dùng tính năng integrity của Google, hãy gọi cho trung tâm hỗ trợ khách hàng và giả vờ như người mới, giữ họ thật lâu với lý do “không hoạt động”; cuối cùng khi câu chuyện Integrity + Chrome xuất hiện thì chất vấn rằng “các anh đứng cùng phe với một công ty quảng cáo đáng ngờ à, tôi tưởng đây là ngân hàng đáng tin chứ”
Ở helpdesk, điều quan trọng là chỉ số đóng ticket và thời lượng cuộc gọi; một màn bùng nổ cảm xúc sẽ không thay đổi được gì
Cuối cùng ta trả trước bằng dữ liệu, rồi sau đó lại trả tiếp bằng tiền. Internet miễn phí có thể tốt với một số người, nhưng tất cả chúng ta đều đang trả thuế quảng cáo nằm trong giá sản phẩm mình mua. Nếu cấm hẳn mô hình giá freemium này và quay lại trả tiền trực tiếp cho hàng hóa như trước, nhiều vấn đề có thể được giải quyết
https://httptoolkit.com/blog/apple-private-access-tokens-att...
Có lẽ chẳng bao lâu nữa ta còn phải lo hơn về việc ngân hàng chỉ chấp nhận thiết bị Apple
Năm 2012, tôi từng phỏng vấn cho vị trí SRE tại Google Ireland
Cuối cùng tôi không đi vì chuyện gia đình, nhưng trong một thời gian dài tôi tiếc vì đã bỏ lỡ cơ hội giải các bài toán ở quy mô Google và kiếm mức tiền kiểu FAANG
Giờ thì sự tiếc nuối đó đã hoàn toàn biến mất. Lý do là hình ảnh Google đã thay đổi, cũng như cách họ hiểu vai trò của mình trên thế giới. Hoặc có thể bản chất doanh nghiệp vốn có của họ chỉ trở nên rõ hơn. Tôi từng tin Google của thập niên 2000 là một lực lượng thiện trong thế giới doanh nghiệp, nhưng giờ thì tin chắc là không hề. Vì thế tôi thấy buồn, và sợ những thiệt hại mà họ rốt cuộc sẽ gây ra cho Internet tôi yêu thích và thế giới FOSS
Tôi không xem Google là một thực thể đơn nhất với một bản chất thật sự duy nhất. Sau cùng đó là một tổ chức nơi con người đưa ra quyết định. Có lúc họ mở mã nguồn VP8 và tạo ra giá trị toàn cầu, có lúc họ chạy những thử nghiệm đáng lẽ cần giải thích rõ ý định hơn
Dưới thời Pichai, họ trông như đang cố cố định vị thế của mình, tiêu diệt đối thủ và biến WWW thành GWWW
Ngay cả khi họ mua lại DoubleClick khét tiếng, tôi vẫn vui vì tin rằng họ có thể làm ngành quảng cáo trực tuyến tốt lên. Nhưng chuyện đó đã không xảy ra, và cuối cùng Google đã trở thành chính kiểu công ty quảng cáo trực tuyến rác rưởi như vậy
Google thời kỳ đầu trông như những con người chân thành và ngay thẳng. Sau bong bóng dot-com, ai cũng lao vào kiếm tiền để trả hóa đơn, và tôi nghĩ hạt giống của hiện tại đã được gieo từ đó
Google có thể đã giả vờ bảo vệ điều gì đó, nhưng kể từ khi trở thành pháp nhân thì họ vẫn luôn là một công ty xấu xa. Doanh nghiệp được thiết kế để vận hành như vậy
Một ví dụ liên quan: Google đã làm những chuyện kiểu “chỉ dành cho IE5+” trên dịch vụ của mình suốt hơn 10 năm. Họ không giết cạnh tranh trình duyệt bằng sản phẩm tốt, mà bằng cách có hoặc mua những dịch vụ tốt rồi dùng chúng để ép người dùng dùng Chrome. Tự nguyện thì thông qua quảng cáo hàng tỷ USD; không tự nguyện thì thông qua các lời nói dối về tương thích/hiệu năng hoặc chặn user agent khác
IE thua các tiền thân của Firefox trong lúc Microsoft tưởng mình đã thắng và giải tán đội IE nên mất cảnh giác. Firefox thua cuộc khi Google điên cuồng làm Chrome nhanh hơn, rồi sau nhiều lần tụt lại đã mất gần như toàn bộ thị phần. Sự thống trị của Chrome và việc Google lạm dụng vị thế thị trường là điều không hay, nhưng trong phần lớn vòng đời của mình, Chrome là một sản phẩm tốt
https://www.businessinsider.com/google-sergey-brin-employees...
Doanh nghiệp tìm cách kiếm tiền hoặc tích lũy đòn bẩy. Tất nhiên cũng có doanh nghiệp thực thi kém hoặc cạnh tranh kém. Ban đầu họ làm việc tốt để tạo đòn bẩy, còn giờ là giai đoạn dùng đòn bẩy đó vắt con bò sữa lâu nhất có thể
Thiết bị điện toán là người đại diện của người dùng, còn gần gũi hơn bác sĩ, giáo sĩ hay luật sư
Chúng ta chia sẻ với thiết bị những thông tin riêng tư hơn, và khả năng sống một cuộc sống bình thường nếu không có thiết bị cũng ít hơn nhiều. Máy tính ngày càng làm trung gian cho nhiều tương tác của ta với người khác và thế giới, đồng thời cũng cần thiết để giao tiếp và tiếp cận các dịch vụ thiết yếu. Vì đó là thứ ta đưa vào nhà và cả phòng ngủ, nó phải hành động vì lợi ích tốt nhất của người dùng, hoặc tối thiểu là không được hành động bất lợi cho người dùng
Đây không phải một yêu cầu đặc biệt, mà phải là tiền đề cơ bản. Ngay cả khi khái niệm phần mềm tự do mới hình thành, việc tôn trọng người dùng đã được đặt ở trung tâm. Sự coi nhẹ trước đây phần lớn là tìm kiếm địa tô, giá quá cao, thờ ơ với tính năng/lỗi, hoặc các quy tắc có lợi cho tác giả. Khả năng phần mềm có thể chủ động và cố ý chống lại người dùng đã tồn tại, và về mặt lý thuyết quyền tự do kiểm tra, sửa đổi, chia sẻ là câu trả lời cho rủi ro đó. Nhưng khi ấy đây không phải vấn đề phổ biến. Giờ đây, phần mềm và hệ thống tích cực phản bội người dùng đã trở nên phổ biến và được bình thường hóa, còn đa số dường như không nhận ra điều đó
Với tôi thì có vẻ đã quá muộn rồi
Ấn tượng rất rõ là đa số mọi người đơn giản là không quan tâm, và phần lớn cũng không muốn biết. Hầu hết những người tôi quen cũng vậy; họ hỏi vì sao tôi không cài ứng dụng mới nhất, nhưng rồi ngắt lời trước khi tôi kịp giải thích về quyền riêng tư, sự phụ thuộc, mất quyền truy cập tài nguyên, quyền được sửa chữa, v.v.
Cá nhân tôi đang dành nhiều thời gian nhất có thể để học các lựa chọn thay thế như Gemini, ứng dụng Fediverse, điện thoại Linux. Đồng thời, tôi để riêng một chiếc laptop “chính thống” chỉ dùng cho các dịch vụ gần như thiết yếu như ngân hàng, không cài gì cả và bình thường thì tắt máy
Tham nhũng ở cấp cao trong chính phủ và tư pháp, các cơ sở giam giữ bí mật và tra tấn, những cuộc chiến phi pháp vì lợi nhuận cũng vậy. Không thể quan tâm đến mọi thứ đang diễn ra, và kỳ vọng mọi người biết hoặc để tâm đến tất cả cũng là điều phi lý
Hơn nữa, đa số công dân chỉ cần mất hai kỳ lương là rơi vào cảnh nghèo. Trong khi đó, các nhà vận động hành lang có quyền tiếp cận và tiền mặt để thúc đẩy những thay đổi cụ thể với người ra quyết định. Cấu trúc này được thiết kế như vậy, và Google cũng chỉ lợi dụng nó như các công ty khác. Đổ lỗi cho “mọi người” là đổ lỗi cho nạn nhân
Bài viết đã áp dụng câu trích dẫn rất hay của Doctorow về Secure Computing vào WEI
“Ngay cả khi bạn muốn máy tính nói dối thay cho bạn, liệu máy tính có phải bị buộc nói sự thật không? Có nên có một thiết bị trong máy tính của bạn mà bạn không kiểm soát được và người khác có thể kích hoạt từ xa không?”
Đây là một cách áp dụng phù hợp, và là câu hỏi nền tảng mà câu trả lời sẽ khác nhau tùy theo văn hóa cũng như trải nghiệm từng cá nhân/tổ chức từng chịu lạm quyền trong quá khứ. Cá nhân tôi thì phản đối
Nếu bối cảnh là một con chip hàn chết không thể tháo ra báo cáo “sự thật” về kernel hay những thứ tương tự, thì tôi cho rằng ta không thể biết máy tính có đang nói thật hay không. Chỉ cần đến DEF CON một lần là hiểu. Luôn có cách vào, luôn có hack. Càng làm cho việc hack khó hơn, những tay lập dị ở DEF CON lại càng có động lực mạnh hơn
Ngoài ra, “người khác” tuyệt đối không bao giờ chỉ là “những người bạn muốn”. Nó chắc chắn bao gồm tội phạm, kẻ rình rập và chính phủ độc tài. Vì vậy câu trả lời đơn giản là “không”
Nếu xe tự lái không nhất thiết hành động vì chủ sở hữu mà làm theo “điều đúng”, tức là sự thật, thì trong tình huống va chạm không thể tránh khỏi, vấn đề sẽ là phải ưu tiên lợi ích của chủ sở hữu hiện tại, lợi ích của nhà sản xuất, hay lợi ích trung bình của tất cả mọi người
Ngay từ đầu Google chưa từng thực sự bảo vệ điều gì, và do no evil phần lớn chỉ là marketing
Chỉ cần nhìn những năm 2010 là đủ
https://nakedsecurity.sophos.com/2011/08/26/real-canadian-ph...
“Chúng tôi không thu thập dữ liệu cá nhân”
https://europe.googleblog.com/2010/04/data-collected-by-goog...
“À, có thu thập”
https://googleblog.blogspot.com/2010/05/wifi-data-collection...
Việc Google thông đồng ấn định lương cũng có thể truy ngược về tận năm 2001
https://www.cnet.com/tech/tech-industry/apple-google-seek-ap...
Một “tác dụng phụ” của việc này là Google trên thực tế sẽ có thể chặn trình chặn quảng cáo
Tất nhiên nhiều người sẽ cho rằng đó không phải tác dụng phụ mà là mục tiêu cuối cùng
Có vẻ như mọi người đều mặc nhiên coi đây là DRM
Lập luận thực tế là website sẽ dùng tín hiệu này để cho phép hoặc từ chối truy cập, và điều này vốn đã có thể thực hiện bằng nhiều cách khác nhau. Google hay các nhà cung cấp trình duyệt khác không thể quyết định website sẽ dùng hay lạm dụng tính năng như thế nào.
Chống gian lận cần các phán định dứt khoát và phạm vi áp dụng cao, nhưng cũng tồn tại sự căng thẳng ở chỗ website có thể loại trừ một số bên chứng thực hoặc các trình duyệt không thể chứng thực. Rủi ro này đã tồn tại và thực sự đang xảy ra. Lý do nó chưa lan rộng không phải vì không thể, mà vì không được ưa chuộng. Những trang buộc phải dùng, như ngân hàng, vẫn làm vậy hằng ngày, và người dùng đành chấp nhận vì không có lựa chọn.
Nhiều bài viết chỉ lặp lại luận điểm “DRM” mà không giải thích điều này khác biệt thế nào, Google có liên quan gì tới cách website đối xử với người dùng, hay có giải pháp nào. Mọi sáng kiến của Google đều nên bị nghi ngờ, nhưng ở đây tôi chỉ thấy việc lặp lại như vẹt các khả năng bị lạm dụng mà không có tư duy phản biện. Các bài viết về chủ đề này chỉ sắp xếp lại từ ngữ chứ không tạo thêm giá trị, nên có vẻ ngay cả nếu dùng AI tự động tạo ra thì mức hữu ích cũng tương tự.
Bạn có thể xác định kỹ thuật fingerprinting nào đang được dùng và né tránh nó. Ví dụ
yt-dlplàm được điều đó ở một mức độ nào đó. Trên Android cũng từng có rất nhiều hỗ trợ nhằm làm cho máy đã root hoặc ROM tùy biến trông giống Android gốc để tiếp tục dùng ứng dụng ngân hàng. Nhưng tùy vào mức SafetyNet mà ứng dụng sử dụng, giờ đây điều đó theo đúng nghĩa đen là bất khả thi.Trước chứng thực dựa trên TPM, bạn vẫn có thể kiểm soát thiết bị của mình. Chứng thực Android SafetyNet dựa trên một gốc tin cậy mà ROM tùy biến không thể cung cấp, nên không thể vượt qua. Ngay cả khi bạn có thể cung cấp triển khai của riêng mình, cũng vô ích nếu mọi bên chỉ hỗ trợ thứ do Google cung cấp. LineageOS cũng có triển khai SafetyNet riêng, nhưng gần như không được chấp nhận. WEI về thực chất là mở rộng SafetyNet lên web, và khác biệt ở chỗ về căn bản nó tước đi quyền kiểm soát thiết bị của chính bạn.
Mục tiêu đầu tiên của đề xuất là “cho phép máy chủ web đánh giá tính xác thực của thiết bị cũng như biểu diễn trung thực về stack phần mềm và lưu lượng đến từ thiết bị”. Nói cách khác, nó cho phép máy chủ web hạn chế hoặc quản lý bằng kỹ thuật số quyền truy cập nội dung từ thiết bị và stack phần mềm do người dùng lựa chọn.
Việc đây là DRM là điều không thể nghi ngờ. Google tuyên bố nó sẽ chỉ được dùng để phân biệt bot và lưu lượng lạm dụng, nhưng công nghệ này rất dễ bị lạm dụng, và Google có cả động cơ lẫn năng lực để làm vậy. Câu hỏi “bạn đề xuất giải pháp gì” giống như hỏi sẽ giải quyết thế nào vấn đề rằng người đang chĩa súng vào đầu bạn ngoài đường chưa có tiền của bạn trong tay. Hơn nữa còn kèm điều kiện rằng trước khi giải được vấn đề đó, bạn thậm chí không được yêu cầu họ hạ súng xuống.
Dù nhìn theo hướng tốt nhất, đây cũng chỉ có vẻ là một quan điểm cực kỳ ngây thơ. Tính năng nào có thể dùng để khóa nội dung hoặc giám sát người dùng thì cuối cùng sẽ bị dùng như vậy. Mọi tính năng đang tồn tại ngày nay đều như thế, và việc phủ nhận điều đó gần như là ác ý.
Nếu “nhà cung cấp trình duyệt không chịu trách nhiệm về việc website lạm dụng”, vậy có nên bật mặc định quyền truy cập filesystem, vị trí, camera, microphone mà không cần hộp thoại xin phép không? Có lẽ cũng nên hồi sinh Java và Flash. Vì website lạm dụng đâu phải lỗi của nhà cung cấp trình duyệt.
Chuyện này khác. Một chứng thực có ý nghĩa về môi trường mà trình duyệt đang chạy không thể đạt được nếu không có chuỗi tin cậy hoàn chỉnh bắt đầu từ secure boot, và điều đó cho phép Google cùng website được truy cập xác minh bootloader được Google phê duyệt, hệ điều hành được Google phê duyệt, driver và phần mềm được Google phê duyệt. Tệ hơn nữa, website còn có thể yêu cầu cả phần mềm được website phê duyệt.
Bạn đưa dao sắc và súng đã nạp đạn cho trẻ con, rồi sẽ ngạc nhiên nếu có ai đó bị thương sao? Nếu để tính năng này trở thành khả thi, tất cả chúng ta sẽ phải gánh hậu quả. Hậu quả đó sẽ là gì thì đã thấy rất rõ. Đừng cư xử ngu ngốc.
Có khó tưởng tượng đến vậy không việc một product manager nào đó của YouTube tính toán khoản thất thoát do trình chặn quảng cáo gây ra rồi yêu cầu đội Chrome chặn chúng?